Vulnerability Summary for the Week of November 24, 2025 | CISA

发布日期： 2025年12月1日 文档ID： SB25-335

CISA漏洞公告提供了过去一周记录的新漏洞摘要。在某些情况下，公告中的漏洞可能尚未分配CVSS分数。漏洞基于通用漏洞与暴露（CVE） 漏洞命名标准，并根据由通用漏洞评分系统（CVSS） 标准确定的严重性进行组织。高、中、低严重性等级对应以下分数：

• 高： CVSS基础分数为7.0–10.0的漏洞
• 中： CVSS基础分数为4.0–6.9的漏洞
• 低： CVSS基础分数为0.0–3.9的漏洞

条目可能包含由CISA赞助的组织和努力提供的额外信息。此信息可能包括识别信息、数值、定义和相关链接。补丁信息在可用时提供。请注意，公告中的部分信息是从外部开源报告编译而来，并非CISA分析的直接结果。

漏洞严重性

• 高严重性漏洞
• 中严重性漏洞
• 低严重性漏洞
• 尚未分配等级

高严重性漏洞

显示 91 个条目中的 91 个

| cursor – cursor | Cursor中对OS命令中使用的特殊元素（命令注入）的不当中和允许未经授权的攻击者执行允许列表之外指定的命令，从而导致任意代码执行。 | 2025-11-26 | 9.8 | CVE-2025-62354 | https://hiddenlayer.com/sai_security_advisor/2025-11-cursor/ | | Dassault Systèmes – DELMIA Service Process Engineer | 影响DELMIA Service Process Engineer在Release 3DEXPERIENCE R2025x上的服务项目管理的存储型跨站脚本（XSS）漏洞允许攻击者在用户浏览器会话中执行任意脚本代码。 | 2025-11-24 | 8.7 | CVE-2025-10555 | https://www.3ds.com/trust-center/security/security-advisories/cve-2025-10555 | | Dassault Systèmes – ENOVIA Product Manager | 影响ENOVIA Product Manager从Release 3DEXPERIENCE R2023x到Release 3DEXPERIENCE R2025x的需求的存储型跨站脚本（XSS）漏洞允许攻击者在用户浏览器会话中执行任意脚本代码。 | 2025-11-24 | 8.7 | CVE-2025-10554 | https://www.3ds.com/trust-center/security/security-advisories/cve-2025-10554 | | DirectoryThemes – Tiger | WordPress的Tiger主题在所有版本（包括101.2.1）中容易受到权限提升的影响。这是由于’paypal-submit.php’文件未限制用户在注册时可以使用的用户角色。这使得未经身份验证的攻击者有可能在注册期间提供’administrator’角色并获得站点的管理员访问权限。 | 2025-11-27 | 9.8 | CVE-2025-13675 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4750b57e-7d8d-49d7-bbbf-46483eb97bd9?source=cve
https://themeforest.net/item/tiger-social-network-theme-for-companies-professionals/16203995 | | DirectoryThemes – Tiger | WordPress的Tiger主题在所有版本（包括101.2.1）中容易受到权限提升的影响。这是由于插件允许用户通过$user->set_role()函数更新用户角色。这使得具有订阅者级别及以上访问权限的经过身份验证的攻击者有可能将其权限提升为管理员。 | 2025-11-27 | 8.8 | CVE-2025-13680 | https://www.wordfence.com/threat-intel/vulnerabilities/id/645f60ad-c8e5-47ec-94f1-960de4ef7838?source=cve
https://themeforest.net/item/tiger-social-network-theme-for-companies-professionals/16203995 | | Eaton – Eaton Galileo Software | Eaton Galileo软件中文件归档上传功能的不当输入清理允许路径遍历，可能导致具有本地访问权限的攻击者执行未经授权的代码或命令。此安全问题已在Eaton下载中心提供的最新版本Galileo中修复。 | 2025-11-27 | 7.3 | CVE-2025-59890 | https://www.eaton.com/content/dam/eaton/company/news-insights/cybersecurity/security-bulletins/etn-va-2025-1024.pdf | | Elated Themes – FindAll Listing | WordPress的FindAll Listing插件在所有版本（包括1.0.5）中容易受到权限提升的影响。这是由于’findall_listing_user_registration_additional_params’函数未限制用户在注册时可以使用的用户角色。这使得未经身份验证的攻击者有可能在注册期间提供’administrator’角色并获得站点的管理员访问权限。注意：只有在FindAll Membership插件也被激活时才能利用此漏洞，因为用户注册在该插件中。 | 2025-11-27 | 9.8 | CVE-2025-13538 | https://www.wordfence.com/threat-intel/vulnerabilities/id/14981949-271c-4f98-a6a1-b00619f1436d?source=cve
https://themeforest.net/item/findall-business-directory-theme/24415962 | | Elated Themes – FindAll Membership | WordPress的FindAll Membership插件在所有版本（包括1.0.4）中容易受到身份验证绕过的影响。这是由于插件没有使用先前通过’findall_membership_check_facebook_user’和’findall_membership_check_google_user’函数验证的数据正确登录用户。这使得未经身份验证的攻击者能够以管理员用户身份登录，只要他们拥有站点上的现有帐户（可以通过默认的临时用户功能轻松创建）以及管理员用户的电子邮件访问权限。 | 2025-11-27 | 9.8 | CVE-2025-13539 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a856a96a-68d2-462d-b523-840668980807?source=cve
https://themeforest.net/item/findall-business-directory-theme/24415962 | | factionsecurity – faction | FACTION是一个渗透测试报告生成和协作框架。在版本1.7.1之前，FACTION扩展框架中的扩展执行路径允许不受信任的扩展代码在调用生命周期钩子时在服务器上执行任意系统命令，导致运行FACTION的主机上发生远程代码执行（RCE）。由于缺少对/portal/AppStoreDashboard端点的身份验证检查，攻击者可以在没有任何身份验证的情况下访问扩展管理UI并上传恶意扩展，使此漏洞可被未经身份验证的用户利用。此问题已在版本1.7.1中修复。 | 2025-11-26 | 9.7 | CVE-2025-66022 | https://github.com/factionsecurity/faction/security/advisories/GHSA-xr72-2g43-586w
https://github.com/factionsecurity/faction/commit/c6389f1c76175b7c1c68d1a87b389311b16c62c3 | | fugue-project – fugue | Fugue是一个分布式计算的统一接口，允许用户以最少的重写在Spark、Dask和Ray上执行Python、Pandas和SQL代码。在版本0.9.2及更早版本中，存在通过FlaskRPCServer进行pickle反序列化的远程代码执行漏洞。Fugue框架实现了一个用于分布式计算操作的RPC服务器系统。在RPC服务器实现的核心功能中，我发现fugue/rpc/flask.py中的_decode()函数直接使用cloudpickle.loads()反序列化数据，而没有任何清理。当RPC服务器处理恶意的pickle数据时，这会产生远程代码执行漏洞。该漏洞存在于RPC通信机制中，客户端可以发送将在服务器端反序列化的任意序列化Python对象，允许攻击者在受害者的机器上执行任意代码。此问题已通过commit 6f25326修复。 | 2025-11-25 | 8.8 | CVE-2025-62703 | https://github.com/fugue-project/fugue/security/advisories/GHSA-xv5p-fjw5-vrj6
https://github.com/fugue-project/fugue/commit/6f25326779fd1f528198098d6287c5a863176fc0 | | geoserver – geoserver | GeoServer是一个允许用户共享和编辑地理空间数据的开源服务器。从版本2.26.0到2.26.2之前和2.25.6之前，识别出XML外部实体（XXE）漏洞。应用程序通过特定端点/geoserver/wms操作GetMap接受XML输入。然而，此输入没有得到充分清理或限制，允许攻击者在XML请求中定义外部实体。此问题已在GeoServer 2.25.6、GeoServer 2.26.3和GeoServer 2.27.0中修复。 | 2025-11-25 | 8.2 | CVE-2025-58360 | https://github.com/geoserver/geoserver/security/advisories/GHSA-fjf5-xgmq-5525
https://osgeo-org.atlassian.net/browse/GEOS-11682 |

| GL-Inet – GL-AXT1800 | GL-Inet GL-AXT1800 4.7.0的OTA更新功能中存在固件降级漏洞。特制的.tar文件可能导致固件降级。攻击者可以执行中间人攻击来触发此漏洞。 | 2025-11-24 | 8.3 | CVE-2025-44018 | https://talosintelligence.com/vulnerability_reports/TALOS-2025-2230 | | HCL Software – iNotes | HCL iNotes容易受到反射型跨站脚本（XSS）漏洞的影响，原因是用户提供的输入验证不当。远程未经身份验证的攻击者可以特制一个URL，在托管网站的安全上下文内和/或窃取受害者基于cookie的身份验证凭据的情况下，在受害者的Web浏览器中执行脚本。 | 2025-11-25 | 8.1 | CVE-2025-0248 | https://support.hcl-software.com/csm?id=kb_article&sysparm_article=KB0127032 | | Huawei – HarmonyOS | 内存管理模块中的权限控制漏洞。影响：成功利用此漏洞可能影响机密性。 | 2025-11-28 | 9.3 | CVE-2025-64314 | https://consumer.huawei.com/cn/support/bulletinlaptops/2025/11/ | | Huawei – HarmonyOS | 设置模块中的权限控制漏洞。影响：成功利用此漏洞可能影响服务机密性。 | 2025-11-28 | 8.4 | CVE-2025-58302 | https://consumer.huawei.com/en/support/bulletin/2025/11/ | | Huawei – HarmonyOS | 屏幕录制框架模块中的UAF漏洞。影响：成功利用此漏洞可能影响可用性。 | 2025-11-28 | 8.4 | CVE-2025-58303 | https://consumer.huawei.com/en/support/bulletin/2025/11/ | | Huawei – HarmonyOS | 分布式组件中的权限控制漏洞。影响：成功利用此漏洞可能影响服务机密性。 | 2025-11-28 | 8 | CVE-2025-58310 | https://consumer.huawei.com/en/support/bulletin/2025/11/ | | Huawei – HarmonyOS | 通话模块中不正确的标准安全检查漏洞。影响：成功利用此漏洞可能导致功能执行异常。 | 2025-11-28 | 7.3 | CVE-2025-58308 | https://consumer.huawei.com/en/support/bulletin/2025/11/ | | Huawei – HarmonyOS | 视频相关系统服务模块中的DoS漏洞。影响：成功利用此漏洞可能影响可用性。 | 2025-11-28 | 7.3 | CVE-2025-58316 | https://consumer.huawei.com/en/support/bulletin/2025/11/ | | Janitza – UMG 96-PA | 未经身份验证的远程攻击者可以向设备发送特制的Modbus读取命令，导致拒绝服务。 | 2025-11-24 | 7.5 | CVE-2025-41729 | https://certvde.com/de/advisories/VDE-2025-094 | | kiteworks – security-advisories | Kiteworks MFT编排端到端的文件传输工作流。在版本9.1.0之前，Kiteworks MFT中的一个错误可能导致在某些情况下，用户的活动会话由于不活动而无法正常超时。此问题已在版本9.1.0中修复。 | 2025-11-29 | 7.1 | CVE-2025-53896 | https://github.com/kiteworks/security-advisories/security/advisories/GHSA-23h2-3jj8-58hm | | kiteworks – security-advisories | Kiteworks MFT编排端到端的文件传输工作流。在版本9.1.0之前，Kiteworks MFT的后端容易受到通信通道中错误指定目的地的影响，这使得在某些情况下具有系统管理权限的攻击者可以拦截上游通信，可能导致权限提升。此问题已在版本9.1.0中修复。 | 2025-11-29 | 7.2 | CVE-2025-53899 | https://github.com/kiteworks/security-advisories/security/advisories/GHSA-5gx5-vcpp-8cr5 | | Logpoint – SIEM | 在Logpoint 7.7.0之前发现一个问题。多个组件中的输入验证不足和输出转义缺失导致跨站脚本（XSS）漏洞。 | 2025-11-27 | 8.5 | CVE-2025-66359 | https://servicedesk.logpoint.com/hc/en-us/articles/29158899698333-XSS-Vulnerability-due-to-insufficient-input-validation | | Mattermost – Mattermost | Mattermost版本10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12, 11.0.x <= 11.0.3 未能在OpenID Connect身份验证期间正确验证OAuth状态令牌，允许具有团队创建权限的经过身份验证的攻击者通过操纵OAuth完成流程中的身份验证数据来接管用户帐户。这需要禁用电子邮件验证（默认：禁用），启用OAuth/OpenID Connect，并且攻击者控制SSO系统中的两个用户，其中一个从未登录过Mattermost。 | 2025-11-27 | 9.9 | CVE-2025-12419 | https://mattermost.com/security-updates | | Mattermost – Mattermost | Mattermost版本11.0.x <= 11.0.2, 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12 未能验证代码交换期间使用的令牌是否源自相同的身份验证流程，允许经过身份验证的用户通过在切换身份验证方法时使用特制的电子邮件地址并向/users/login/sso/code-exchange端点发送请求来执行帐户接管。该漏洞需要启用ExperimentalEnableAuthenticationTransfer（默认：启用）并禁用RequireEmailVerification（默认：禁用）。 | 2025-11-27 | 9.9 | CVE-2025-12421 | https://mattermost.com/security-updates | | mescuwa – entropy-derby | Inside Track / Entropy Derby是一个研究级的赛马投注引擎。在commit 2d38d2f之前，基于VDF的时间锁加密系统未能对博彩运营商强制执行顺序延迟。投注者预计算整个Wesolowski VDF并将vdfOutputHex包含在其加密的投注票据中，允许庄家使用快速证明验证而不是昂贵的VDF评估立即解密。此问题已通过commit 2d38d2f修复。 | 2025-11-25 | 8.7 | CVE-2025-65951 | https://github.com/mescuwa/entropy-derby/security/advisories/GHSA-pm54-f847-w4mh
https://github.com/mescuwa/entropy-derby/commit/2d38d2f16bbb3b4240698148f80d8c5202725c77 | | Microsoft – Azure App Gateway | 应用程序网关中的越界读取允许未经授权的攻击者通过网络提升权限。 | 2025-11-26 | 9.4 | CVE-2025-64656 | Azure Application Gateway Elevation of Privilege Vulnerability | | Microsoft – Azure App Gateway | Azure应用程序网关中的基于堆栈的缓冲区溢出允许未经授权的攻击者通过网络提升权限。 | 2025-11-26 | 9.8 | CVE-2025-64657 | Azure Application Gateway Elevation of Privilege Vulnerability | | milmor – Telegram Bot & Channel | WordPress的Telegram Bot & Channel插件在所有版本（包括4.1）中通过Telegram用户名容易受到存储型跨站脚本的攻击，原因是输入清理和输出转义不足。这使得未经身份验证的攻击者能够在页面中注入任意Web脚本，这些脚本将在用户访问注入页面时执行。 | 2025-11-25 | 7.2 | CVE-2025-13068 | https://www.wordfence.com/threat-intel/vulnerabilities/id/fe4774ee-16f2-478f-92e3-8a7da7b30336?source=cve
https://plugins.trac.wordpress.org/browser/telegram-bot/tags/4.1/columns.php#L45 | | MISP – MISP | MISP 2.5.24之前的app/Controller/EventsController.php在检查上传文件有效性（与tmp_name相关）时存在无效逻辑。 | 2025-11-28 | 8.2 | CVE-2025-66384 | https://github.com/misp/misp/commit/6867f0d3157a1959154bdad9ddac009dec6a19f5
https://github.com/MISP/MISP/compare/v2.5.23...v2.5.24 | | n/a – Qualitor | 在Qualitor 8.20/8.24中发现了一个安全缺陷。此漏洞影响文件/html/st/stdeslocamento/request/getResumo.php的eval函数。对参数passageiros的操作导致代码注入。攻击可以远程利用。漏洞利用已公开并可能被利用。供应商很早就被告知此披露，但未以任何方式回应。 | 2025-11-30 | 7.3 | CVE-2025-13792 | VDB-333796 | Qualitor getResumo.php eval code injection
VDB-333796 | CTI Indicators (IOB, IOC, TTP, IOA)
Submit #691251 | Qualitor Qualitor Web 8.20/8.24 Code Injection
https://www.youtube.com/watch?v=hU8YbFc6KpI | | n/a – validator | 包validator在版本13.15.22之前的版本中，isLength()函数容易受到一个或多个特殊元素实例的不完全过滤的影响，该函数没有考虑出现在序列中的Unicode变体选择器（\uFE0F, \uFE0E），导致字符串长度计算不正确。这可能导致使用isLength进行输入验证的应用程序接受比预期长得多的字符串，从而导致诸如数据库中的数据截断、其他系统组件中的缓冲区溢出或拒绝服务等问题。 | 2025-11-27 | 7.5 | CVE-2025-12758 | https://security.snyk.io/vuln/SNYK-JS-VALIDATOR-13653476
https://gist.github.com/koral--/ad31208b25b9e3d1e2e35f1d4d72572e
https://github.com/validatorjs/validator.js/pull/2616 | | Nozomi Networks – Guardian | 在仪表板功能中发现了一个存储型跨站脚本漏洞，原因是输入参数验证不当。经过身份验证的低权限用户可以制作包含JavaScript负载的恶意仪表板并与受害用户共享，或者受害者可能被社会工程学诱骗导入恶意仪表板模板。当受害者查看或导入仪表板时，XSS在其浏览器上下文中执行，允许攻击者以受害者身份执行未经授权的操作，例如修改应用程序数据、破坏应用程序可用性以及访问有限的敏感信息。 | 2025-11-25 | 7.9 | CVE-2025-40890 | https://security.nozominetworks.com/NN-2025:11-01 | | NVIDIA – DGX Spark | NVIDIA DGX Spark GB10在SROOT中包含一个漏洞，攻击者可以使用特权访问访问SoC保护区域。成功利用此漏洞可能导致代码执行、信息泄露、数据篡改、拒绝服务或权限提升。 | 2025-11-25 | 9.3 | CVE-2025-33187 | https://nvd.nist.gov/vuln/detail/CVE-2025-33187
https://www.cve.org/CVERecord?id=CVE-2025-33187
https://nvidia.custhelp.com/app/answers/detail/a_id/5720 | | NVIDIA – DGX Spark | NVIDIA DGX Spark GB10在硬件资源中包含一个漏洞，攻击者可以篡改硬件控制。成功利用此漏洞可能导致信息泄露、数据篡改或拒绝服务。 | 2025-11-25 | 8 | CVE-2025-33188 | https://nvd.nist.gov/vuln/detail/CVE-2025-33188
https://www.cve.org/CVERecord?id=CVE-2025-33188
https://nvidia.custhelp.com/app/answers/detail/a_id/5720 | | NVIDIA – DGX Spark | NVIDIA DGX Spark GB10在SROOT固件中包含一个漏洞，攻击者可能导致越界写入。成功利用此漏洞可能导致代码执行、数据篡改、拒绝服务、信息泄露或权限提升。 | 2025-11-25 | 7.8 | CVE-2025-33189 | https://nvd.nist.gov/vuln/detail/CVE-2025-33189
https://www.cve.org/CVERecord?id=CVE-2025-33189
https://nvidia.custhelp.com/app/answers/detail/a_id/5720 | | NVIDIA – NeMo Agent ToolKit | NVIDIA NeMo Agent Toolkit UI for Web在聊天API端点中包含一个漏洞，攻击者可能导致服务器端请求伪造。成功利用此漏洞可能导致信息泄露和拒绝服务。 | 2025-11-25 | 7.6 | CVE-2025-33203 | https://nvd.nist.gov/vuln/detail/CVE-2025-33203
https://www.cve.org/CVERecord?id=CVE-2025-33203
https://nvidia.custhelp.com/app/answers/detail/a_id/5726 | | NVIDIA – NeMo Framework | NVIDIA NeMo Framework for all platforms在NLP和LLM组件中包含一个漏洞，攻击者创建的恶意数据可能导致代码注入。成功利用此漏洞可能导致代码执行、权限提升、信息泄露和数据篡改。 | 2025-11-25 | 7.8 | CVE-2025-33204 | https://nvd.nist.gov/vuln/detail/CVE-2025-33204
https://www.cve.org/CVERecord?id=CVE-2025-33204
https://nvidia.custhelp.com/app/answers/detail/a_id/5729 | | NVIDIA – NeMo Framework | NVIDIA NeMo框架在预定义变量中包含一个漏洞，攻击者可能通过使用预定义变量导致包含来自不受信任控制领域的功能。成功利用此漏洞可能导致代码执行。 | 2025-11-25 | 7.3 | CVE-2025-33205 | https://nvd.nist.gov/vuln/detail/CVE-2025-33205
https://www.cve.org/CVERecord?id=CVE-2025-33205
https://nvidia.custhelp.com/app/answers/detail/a_id/5729 | | OISF – suricata | Suricata是由OISF（开放信息安全基金会）和Suricata社区开发的网络IDS、IPS和NSM引擎。在版本7.0.13和8.0.2之前，当记录eve.alert和eve.drop中的裁决时，单字节读取堆溢出可能导致崩溃。这需要告警队列充满告警，然后后面跟着一个通过规则。此问题已在版本7.0.13和8.0.2中修复。为了减少此问题发生的可能性，如果启用了裁决，则应增加告警队列大小（suricata.yaml中的packet-alert-max）。 | 2025-11-26 | 7.5 | CVE-2025-64330 | https://github.com/OISF/suricata/security/advisories/GHSA-83v7-gm34-f437
https://github.com/OISF/suricata/commit/482e5eac9218d007adbe2410d6c00173368ce947 | | OISF – suricata | Suricata是由OISF（开放信息安全基金会）和Suricata社区开发的网络IDS、IPS和NSM引擎。在版本7.0.13和8.0.2之前，如果用户增加了HTTP响应正文限制并启用了可打印HTTP正文的日志记录，则在大型HTTP文件传输上可能发生堆栈溢出。此问题已在版本7.0.13和8.0.2中修复。此问题的一种解决方法涉及使用默认HTTP响应正文限制和/或禁用http-body-printable日志记录；正文日志记录默认禁用。 | 2025-11-26 | 7.5 | CVE-2025-64331 | https://github.com/OISF/suricata/security/advisories/GHSA-v32w-j79x-pfj2 | | OISF – suricata | Suricata是由OISF（开放信息安全基金会）和Suricata社区开发的网络IDS、IPS和NSM引擎。在版本7.0.13和8.0.2之前，如果启用了SWF解压缩，则可能发生导致Suricata崩溃的堆栈溢出。此问题已在版本7.